Qu'est-ce que la directive NIS2 ?
La directive NIS2 (Network and Information Security 2) est le nouveau cadre reglementaire europeen en matiere de cybersecurite. Adoptee en decembre 2022, elle remplace et renforce considerablement la directive NIS1 de 2016.
Face a l'explosion des cyberattaques (+400% depuis 2020), l'Union Europeenne a decide de muscler ses exigences pour proteger les infrastructures critiques et les entreprises strategiques. NIS2 concerne desormais 18 secteurs d'activite et des milliers d'entreprises en France.
Echeance critique
La transposition en droit francais etait prevue pour octobre 2024. Les entreprises concernees doivent agir maintenant pour eviter les sanctions pouvant atteindre 10 millions d'euros ou 2% du CA mondial.
Votre entreprise est-elle concernee par NIS2 ?
NIS2 distingue deux categories d'entites avec des obligations differenciees :
Entites Essentielles
Supervision proactive- Plus de 250 salaries, OU
- CA > 50M euros ET bilan > 43M euros
- Energie (electricite, gaz, petrole)
- Transports (aerien, ferroviaire, maritime, routier)
- Banque et infrastructures financieres
- Sante (hopitaux, labos, fabricants)
- Eau potable et eaux usees
- Infrastructure numerique (cloud, DNS, datacenters)
- Administration publique
- Espace
Entites Importantes
Supervision reactive- Plus de 50 salaries, OU
- CA > 10M euros ET bilan > 10M euros
- Services postaux et messagerie
- Gestion des dechets
- Chimie (fabrication, production)
- Agroalimentaire (production, distribution)
- Fabrication (dispositifs medicaux, electronique, machines)
- Services numeriques (marketplaces, reseaux sociaux, moteurs)
- Recherche
Responsabilite des dirigeants
Nouveaute NIS2 : les dirigeants sont personnellement responsables de la mise en conformite. Ils doivent valider les mesures de securite et suivre une formation obligatoire. En cas de manquement grave, ils peuvent etre temporairement interdits d'exercer des fonctions de direction.
Les 4 piliers d'obligations NIS2
NIS2 structure ses exigences autour de quatre grands axes que chaque entite concernee doit respecter :
Gouvernance
- Implication obligatoire des organes de direction
- Formation cybersecurite des dirigeants
- Validation des politiques de securite
- Supervision des mesures de gestion des risques
- Responsabilite personnelle en cas de manquement
Gestion des risques
- Analyse de risques formalisee et actualisee
- Politiques de securite des systemes d'information
- Securite de la chaine d'approvisionnement
- Gestion des vulnerabilites et mises a jour
- Chiffrement et controle d'acces
- Authentification multi-facteurs (MFA)
Notification des incidents
- 24h : Alerte initiale a l'autorite competente
- 72h : Notification complete avec evaluation impact
- 1 mois : Rapport final detaille
- Information des clients si impact sur leurs services
- Procedures documentees de detection et signalement
Continuite d'activite
- Plan de continuite d'activite (PCA)
- Plan de reprise d'activite (PRA)
- Sauvegardes testees regulierement
- Gestion de crise cyber documentee
- Tests et exercices periodiques
Notre accompagnement conformite NIS2
My Trust Partner vous accompagne a chaque etape de votre mise en conformite NIS2 avec une approche pragmatique et adaptee a votre organisation :
Audit Gap Analysis
Evaluation de votre niveau actuel par rapport aux exigences NIS2. Identification des ecarts et priorisation des actions.
2-4 semainesPlan de conformite
Elaboration d'une feuille de route detaillee avec budget, planning et responsabilites. Quick wins et actions structurantes.
2-3 semainesMise en oeuvre
Deploiement des mesures techniques et organisationnelles. Documentation, formation des equipes, outils de securite.
3-9 moisMaintien & Suivi
Accompagnement continu pour maintenir la conformite : revues periodiques, veille reglementaire, amelioration continue.
Continu
NIS2 et assurance cyber : une synergie strategique
La conformite NIS2 et l'assurance cyber ne s'opposent pas, elles se renforcent mutuellement. Chez My Trust Partner, nous avons une vision integree :
NIS2 ameliore votre assurabilite
En mettant en place les mesures NIS2, vous repondez aux criteres des assureurs cyber : MFA, sauvegardes, gestion des incidents. Resultat : meilleures conditions tarifaires.
L'assurance couvre les risques residuels
Meme conforme NIS2, le risque zero n'existe pas. L'assurance cyber couvre les consequences financieres d'un incident : pertes d'exploitation, frais de crise, responsabilite civile.
Objectifs alignes
Notification des incidents, gestion de crise, continuite d'activite : les obligations NIS2 correspondent aux attentes des assureurs. Un seul effort, deux benefices.
L'avantage My Trust Partner
En tant que courtier specialise ET expert cybersecurite, nous sommes le seul acteur a vous accompagner sur les deux volets : conformite reglementaire (NIS2, RGPD, DORA) ET assurance cyber. Un interlocuteur unique pour une protection complete.
Pourquoi choisir My Trust Partner ?
Expertise certifiee
Consultants certifies ISO 27001 Lead Implementer, CISSP, CISM. Label ExpertCyber delivre par l'ANSSI et Cybermalveillance.gouv.fr.
Veille reglementaire permanente
Suivi des evolutions NIS2, des guidelines de l'ANSSI et des pratiques europeennes. Vous beneficiez toujours des dernieres interpretations.
Approche pragmatique
Pas de sur-conformite couteuse. Nous adaptons les mesures a votre taille, votre secteur et votre budget. Focus sur les quick wins a impact fort.
Chaine de valeur complete
Conformite + formation Qualiopi + SOC 24/7 + assurance cyber. Tout l'ecosysteme de protection en un seul partenaire.
Formation des dirigeants
NIS2 impose une formation cyber aux dirigeants. Nos modules Qualiopi repondent a cette obligation, avec financement OPCO possible.
Accompagnement continu
La conformite NIS2 n'est pas un projet one-shot. Nous vous accompagnons dans la duree pour maintenir et ameliorer votre posture de securite.
Questions frequentes sur NIS2
NIS2 (Network and Information Security 2) est la nouvelle directive europeenne sur la cybersecurite, adoptee en 2022. Elle remplace NIS1 et renforce considerablement les exigences de securite pour les entreprises europeennes. Elle impose des obligations en matiere de gouvernance, gestion des risques, notification des incidents et responsabilite des dirigeants.
NIS2 s'applique aux entites essentielles (energie, transports, sante, eau, infrastructure numerique, banque, administration publique) et importantes (services postaux, gestion dechets, chimie, agroalimentaire, fabrication, services numeriques). Les criteres de taille sont : plus de 50 salaries ou CA superieur a 10M euros pour les entites importantes, plus de 250 salaries ou CA superieur a 50M euros pour les essentielles.
Les sanctions sont significatives : jusqu'a 10 millions d'euros ou 2% du CA mondial pour les entites essentielles, et jusqu'a 7 millions d'euros ou 1,4% du CA pour les entites importantes. Les dirigeants peuvent egalement etre personnellement tenus responsables, avec possibilite d'interdiction temporaire d'exercer.
La directive devait etre transposee dans le droit francais avant le 17 octobre 2024. Les entreprises concernees doivent donc se mettre en conformite des que possible. L'ANSSI est l'autorite nationale competente pour superviser la mise en oeuvre en France.
La conformite NIS2 et l'assurance cyber sont complementaires. Etre conforme NIS2 ameliore votre posture de securite, ce qui facilite l'obtention d'une assurance cyber a de meilleures conditions. De plus, certaines obligations NIS2 (notification incidents, gestion de crise) s'alignent avec les exigences des assureurs. My Trust Partner vous accompagne sur les deux volets.
La duree depend de votre niveau de maturite actuel. En moyenne, comptez 6 a 12 mois pour une mise en conformite complete. Cela inclut l'audit initial (2-4 semaines), l'elaboration du plan (2-4 semaines), la mise en oeuvre (3-9 mois) et les tests de validation.
NIS2 impose quatre categories d'obligations : 1) Gouvernance - implication des dirigeants, formation obligatoire ; 2) Gestion des risques - analyse de risques, mesures de securite proportionnees ; 3) Notification des incidents - declaration sous 24h pour l'alerte initiale, rapport complet sous 72h ; 4) Continuite d'activite - PCA/PRA, gestion de crise, sauvegardes testees.
Les entites essentielles operent dans des secteurs critiques (energie, transports, sante, banque, eau, infrastructure numerique) avec des seuils de taille plus eleves. Elles font l'objet d'une supervision plus stricte et de sanctions plus elevees. Les entites importantes sont dans des secteurs sensibles mais non critiques, avec une supervision ex post (apres incident).